Trace Id is missing
تخطي إلى المحتوى الرئيسي
Security Insider

إجراء شديد الصرامة ضد الاحتيال: تعطيل Storm-1152

صفيف ملون من الدوائر مع الأيقونات المتنوعة.

نظرة عامة

في مارس 2023، تعرض عميل Microsoft هام إلى سلسلة من هجمات البريد العشوائي عبر الإنترنت مما أدى إلى انقطاعات في نظام العميل.

السبب؟ تم توفير وابل من حسابات Microsoft Outlook وHotmail التي تم إنشائها بطريقة احتيالية لتستفيد من خدمات العملاء بهدف أن تكون تجارب اختبارات للمستخدمين المحتملين، على الرغم من أن تلك الحسابات المزيفة لم تكن لديها أي نية في دفع ثمن تلك الخدمات. ونتيجة لذلك، حظر العميل كل تسجيلات الحسابات من عناوين Microsoft Outlook وHotmail.

في الواقع ما كان خلف هذه الهجمات هو مؤسسة احتيالية كبيرة قائمة في فيتنام - مجموعة تدعوها Microsoft Storm-1152.

كان Storm-1152 يدير مواقع ويب وصفحات وسائل تواصل اجتماعي غير مشروعة، وكان يبيع حسابات Microsoft الاحتيالية وأدوات لتجاوز برامج التحقق من الهوية عبر منصات تقنية معروفة. تعمل خدمات Storm-1152 كبوابة لارتكاب على تقليل الوقت والجهد اللازمين للمجرمين لإجراء مجموعة من السلوكيات الإجرامية والمسيئة عبر الإنترنت. في المجمل، أنشأت المجموعة ما يقرب من 750 مليون حساب Microsoft احتيالي للبيع، مما أكسب المجموعة ملايين الدولارات من الإيرادات غير المشروعة، وكلف الشركات أكثر من ذلك لمكافحة نشاطها الإجرامي.

اتضح، أن عدة مجموعات كانت تستخدم حسابات Storm-1152 للمشاركة في برامج الفدية الضارة، وسرقة البيانات، والابتزاز، بما في ذلك​ Octo Tempest،و Storm-0252،و Storm-0455وأخرون. جعلتها أعمال مبيعات الحسابات الخاصة بها أحد أكبر حالات ارتكاب الجرائم الإلكترونية كموفر خدمة على الإنترنت.

كانت Microsoft تتعقب ذلك النشاط الضار منذ عام 2022، وتزيد استخدام خوارزميات التعلم الآلي لمنع الأنماط التي يجري ملاحظتها لإنشاء تلك الحسابات الاحتيالية وكشفها. بالرغم من ذلك، شهد ربيع عام 2023 نقطة تصريف بسبب سوء الاستعمال المتصاعد لـ Microsoft وشركائها من الأنظمة الرئيسية. تطلب الأمر إجراءً أكثر عدوانية وتم تشكيل فريق متعدد الوظائف عبر Microsoft ومع شريكنا Arkose Labs.

بعد هذا الإجراء على الفور، لاحظنا إنقاص بنسبة 60% تقريبًا في نسبة استخدام التسجيل. ويطابق هذا الإنقاص بدقة نسبة 60% أو أكثر من عمليات التسجيل التي عرفتها الخوارزميات الخاصة بنا أو شركائنا فيما بعد بأنها تسئ الاستخدام والتي أوقفنا خدمات Microsoft لديها تبعًا لذلك. 

نتج عن الجهود المنسقة اتخاذ وحدة الجرائم الرقمية التابعة لـ Microsoftأولإجراء قانوني في ديسمبر عام 2023 بمصادرة مواقع الويب التي كانت Storm-1152 تستخدمها في بيع خدماتها وإيقاف تشغيلها. بعد هذا الإجراء على الفور، لاحظنا إنقاص بنسبة 60% تقريبًا في نسبة استخدام التسجيل. ويطابق هذا الإنقاص بدقة نسبة 60% أو أكثر من عمليات التسجيل التي عرفتها الخوارزميات الخاصة بنا أو شركائنا فيما بعد بأنها تسئ الاستخدام والتي أوقفنا خدمات Microsoft لديها تبعًا لذلك. في يوليو 23، اطلقنا إجراء مدني ثانٍ لتعطيل بنية أساسية جديدة حاولت المجموعة إعدادها بعد دعوتنا القضائية في ديسمبر.

يستكشف تقرير ذلك التهديد الناشئ ما وراء الكواليس حول كيف تم تنفيذ ذلك الإجراء ويميز أهمية التعاون عبر الصناعة لملاحقة التهديدات الإلكترونية. هذه الحالة هي مثال على كيف يمكن للصناعة استخدام القنوات القانونية للمساعدة في ردع المجموعات الأخرى وإبقاء الأفراد أمنين عبر الإنترنت. يتحدث أيضًا حول أهمية التعطيلات المستمرة وكيف تظل الإجراءات القانونية أسلوب فعال في محاربة مجرمي الإنترنت. في نهاية اليوم، لا توجد عملية فريدة من نوعها.

اكتشاف Storm-1152 وتعريفه

في فبراير 2023، لاحظ ماثيو ميسا، كبير باحثي الأمان في مركز Microsoft للتحليل الذكي للمخاطر، نمط متزايد من حسابات Microsoft Outlook يتم استخدامها في حملات التصيد الاحتيالي كبيرة العدد. في ذلك الدور، يحلل ميسا حملات البريد الإلكتروني، ويبحث عن نشاط مريب. مع رؤيته المستمرة لارتفاع في استخدام الحسابات الاحتيالية، سأل نفسه: “هل يمكن أن تكون لكل تلك الحسابات صلة ببعضها البعض؟“

أنشأ ملف تعريف جديد لممثل المخاطر على الفور، وهو Storm-1152، وبدأ يتعقب نشاطه وعلم على ما عثر عليه لفريق الهويات الخاص بـ Microsoft. كانت شنيسا كامبريك، مديرة المنتجات الرئيسية لفريق الدفاع ضد الاحتيال وسوء الاستخدام التابع لـ Microsoft، تتعقب هي أيضًا ذلك النشاط الضار ولاحظت ازدياد في الحسابات التلقائية (الروبوتات) التي كانت تحاول التغلب على تحديات CAPTCHA المستخدمة لحماية عملية التسجيل لخدمات عملاء Microsoft.​

توضح كامبريك “يركز فريقي على تجربة عميلنا وكذلك تجربة مؤسستنا، مما يعني أننا نحمي مليارات الحسابات كل يوم من الاحتيال وسوء الاستعمال“. “دورنا هو فهم منهجيات ممثل المخاطر لنتمكن من للتحايل على الهجمات ومنع الوصول إلى أنظمتنا. ننحن دائمًا نفكر في المنع - في كيف يمكننا إيقاف الممثلين السيئين عند الباب الأمامي.“

ما جذب انتباهها كان المستوى المتزايد من الاحتيال ذو صلة بالنشاط. عندما تواصلت معنا عدة أطراف - أطراف Microsoft وكذلك أجزاء من سلسلة التوريد - لللإبلاغ عن الضرر الذي نتج عن حسابات Microsoft التي أنشأتها الروبوتات، اتجهت كامبريك إلى الإجراء.

مع دفاع الأمان عبر الإنترنت وموفر إدارة الروبوتات Arkose Labs، عمل فريق كامبريك لتعريف الحسابات الاحتيالية للمجموعة، وتفاصيل عملهم مع الزملاء في التحليل الذكي للمخاطر في MSTIC الخاصة بـ Microsoft التي تمت مشاركتها ووحدة Arkose للبحث في التحليل الذكي لمخاطر الإنترنت (ACTIR).

“دورنا هو فهم منهجيات ممثل المخاطر لنتمكن من للتحايل على الهجمات ومنع الوصول إلى أنظمتنا. ننحن دائمًا نفكر في المنع - في كيف يمكننا إيقاف الممثلين السيئين عند الباب الأمامي“. 
شنيسا كامبريك 
مديرة المنتجات الرئيسية لفريق الدفاع ضد الاحتيال وسوء الاستخدام، بـ Microsoft 

«في البداية، كان دورنا هو حماية Microsoft من إنشاء الحسابات الضارة،» توضح باتريس بوفا مسؤولة العملاء الرئيسية لـ Arkose Labs، «ولكن بمجرد أن تم تعريف Storm-1152 بكونهم مجموعة، بدأنا أيضًا جمع العديد من التحليل الذكي للمخاطر».

معرفة Storm-1152 جيداً

بصفتها مجموعة تحت التطوير ذات دوافع مالية، برزت Storm-1152 لكونها منظمة بشكل جيد وهو أمر غير معتاد، ومحترفة في عروض ارتكاب الجرائم الإلكترونية كموفر خدمة (CaaS) الخاصة بها. كانت Storm-1152 تعمل كشركة قانونية، وكانت تجري خدمة حل CAPTCHA الخاصة بها غير المشروعة في وضح النهار.

«إن لم تكن تعلم أنها كانت منظمة ضارة، كان من الممكن أن تقارنها مع أي شركة خدمة تأجير البرامج»، 
باتريس بوفا
مسؤولة العملاء الرئيسية، Arkose Labs

«إن لم تكن تعلم أنها كانت منظمة ضارة، كان من الممكن أن تقارنها مع أي شركة خدمة تأجير البرامج،» تقول بوفا، لتضيف أن موقع AnyCAPTCHA.com الخاص بـ Storm-1152 كان لديه موقع ويب عام، وكان يقبل المدفوعات بالعملة المشفرة من خلال PayPal، وحتى وفر قناة دعم.

كانت تلك الخدمة تستخدم الروبوتات لتجميع الرموز المميزة لـ CAPTCHA بكمية كبيرة، التي كانت تباع للعملاء، الذين استخدموا تلك الرموز لأغراض غير جيدة (مثل إنشاء كمية كبيرة من حسابات Microsoft الاحتيالية لاستخدامها لاحقًا في الهجمات الإلكترونية) قبل انتهاء صلاحيتها. كانت تحدث محاولات إعداد حسابات احتيالية بسرعة وكفاءة عالية فاستنتج فريق Arkose Labs أن المجموعة كانت تستخدم تقنية التعلم الآلي التلقائية. 

«عندما واجهنا تجربة وتيرة تكيفهم لجهودنا التخفيفية، أدركنا أن العديد من هجماتهم كانت مستندةً إلى الذكاء الاصطناعي،» قالت بوفا. «مقارنةً بالخصوم التي رأيناها، استخدمت Storm-1152 الذكاء الاصطناعي بطرق مبتكرة». تمكنت Arkose Labs وفرق Microsoft من ملاحظة تغير في أساليب الأعمال كطريقة للتكيف مع جهود الكشف والمنع المتزايدة.

في البداية، ركزت Storm-1152 على توفير خدمات للمجرمين لتجاوز دفاعات الأمان للشركات التقنية الأخرى، مع كون​Microsoft​ أكبر ضحية. عرضت Storm-1152 الخدمات لتجاوز​​ الدفاعات لإنشاء حسابات احتيالية، ومن ثم عرضت خدمة جديدة بعد أن شعرت بأنه تم كشفها. بدلًا من توفير أدوات لتجاوز دفاعات إنشاء الحساب، تحولت المجموعة إلى استخدام رموزها المميزة التي تهزم CAPTCHA وتجمعها الروبوتات في إنشاء حسابات Microsoft احتيالية لإعادة البيع.

«ما لاحظناه مع Storm-1152 هو أمر نموذجي،» تقول بوفا. في كل مرة تمسك بممثل مخاطر، يجربون شئ أخر. الاستمرار في التفوق عليهم هو لعبة قط وفأر».

إنشاء حالة قانونية ضد Storm-1152

عندما وصل نشاط الاحتيال إلى ذروته في مارس 2023، قاما كامبريك وميسا بربط وحدة الجرائم الرقمية التابعة لـ Microsoft (DCU) لرؤية ما الذي يمكن عمله.

حيث أن ذراع Microsoft للفرض الخارجي (DCU) تتابع فقط الممثلين أكثر خطورةً أو استمرارًا. هي تركز على التعطيل - رفع تكلفة إجراء الأعمال - التي تعد أدوات أساسية لإحالات المجرمون و/أو الدعاوي القضائية المدنية.

اجتمع كلٍ من شون فاريل، المستشار الأهم لفريق فرض الجريمة الإلكترونية في وحدة الجرائم الرقمية التابعة لـ Microsoft (DCU)، وجايسون ليونز، مدير التحقيقات الرئيسي في فريق فرض الجريمة الإلكترونية في وحدة الجرائم الرقمية التابعة لـ Microsoft (DCU)، وموريس ماسون الباحث الإلكتروني الأول، للبحث أكثر. اتفقوا مع مستشار Microsoft الخارجي لتصميم استراتيجية قانونية وجمعوا معًا الأدلة المطلوبة لاتخاذ إجراء مدني، ورسم تفاصيل من فرق مختلفة عبر Microsoft والتحليل التحليل الذكي للمخاطر الذي كانت Arkose Labs تجمعه.

«كان قد تم الانتهاء من الكثير من العمل بحلول الوقت الذي انضمت فيه وحدة الجرائم،» يتذكر ليونز. «قام فريق الهوية وArkose Labs بعمل رائع في تعريف الحسابات وتعطيلها، وبسبب أن MSTIC تمكنت من ربط الحسابات الاحتيالية إلى مستويات معينة من البنية التحتية، اعتقدنا أنها ستكون حالة جيدة لـ DCU».

بعض العوامل التي تساهم في تكوين حالة تستحق المتابعة تشمل امتلاك قوانين يمكن استخدامها في الإجراء المدني، امتلاك اختصاص قضائي، واستعداد الشركة لقول أسماء أفراد علنًا.

شبه ليونز أخذ هذه العوامل في الاعتبار بعملية فرز، حيث تفحص DCU الحقائق والمعلومات لتساعدها في تحديد ما إذا كان كل شئ يكون حالة جيدة. «استنادًا إلى ما نفعله، نحن نسأل ما إذا كنا نريد إنفاق وقتنا وطاقتنا لاتخاذ إجراء،» هو يقول. «هل سيستحق التأثير المصادر التي سنضعها في الأمر؟» الإجابة في هذه الحالة كانت نعم.

تم تكليف ماسون بمهمة العمل على إسناد أنشطة Storm-1152 بارتكاب الجرائم الإلكترونية كموفر خدمة. «كان دوري هو تعقب كيف باعت Storm-1152 تلك الحسابات الاحتيالية للمجموعات ممثلة المخاطر الأخرى وتعريف الأفراد وراء Storm-1152،» يوضح ماسون.

من خلال عملهم في الفحص، الذي تضمن مراجعة عميقة لصفحات مواقع التواصل الاجتماعي ومعرفات المدفوعات، تمكن Microsoft وArkose Labs من تعريف الأفراد وراء Storm-1152 - هم Duong Dinh Tu، وLinh Van Nguyễn (يُعرف أيضَا بـ Nguyễn Van Linh)، وTai Van Nguyen.

تظهر النتائج التي توصلوا إليها أن هؤلاء الأفراد شغلوا التعليمات البرمجية للمواقع غير المشروعة وكتبوها، ونشروا تعليمات مفصلة خطوة بخطوة حول كيفية استخدام منتجاتهم عبر دروس الفيديو وقدموا خدمات الدردشة لمساعدة أولئك الذين يستخدمون خدماتهم الاحتيالية. من خلال الاتصالات الإضافية تم التوصل إلى البنية التقنية التحتية للمجموعة، والتي تمكن الفريق من تحديد مكانها في مضيفين موجودين في الولايات المتحدة.

«أحد أسباب تتبعنا لتلك الإجراءات في DCU هو ردع تأثير هؤلاء المجرمين الإلكترونيين. نحن نقوم بذلك من خلال رفع الدعوات القضائية أو من توفير إحالات جنائية التي تؤدي إلى اعتقالات ومحاكمات».
شون فاريل 
المستشار الأهم، فريق فرض الجريمة الإلكترونية، Microsoft

في وصفه لقرار المدي قدمًا في الحالة، يقول فاريل، «كنا محظوظون بسبب عمل الفرق الرائع، الذي قام بتعريف الممثلون الذين أعدوا البنية التحتية والخدمات الإجرامية.

أحد أسباب تتبعنا لتلك الإجراءات في DCU هو ردع تأثير هؤلاء المجرمين الإلكترونيين. نحن نقوم بذلك من خلال رفع الدعوات القضائية أو من توفير إحالات جنائية التي تؤدي إلى اعتقالات ومحاكمات. اعتقد أنه عندما تتمكن من التعرف على الممثلين وتتعرف عليهم على العام في المرافعات القانونية في الولايات المتحدة، فإن ذلك يرسل رسالة قوية".​​

Storm-1152 تظهر مرة أخرى وإجراء قانوني ثانٍ​

بينما رأى الفريق انقطاع فوري في البنية التحتية بعد تعطيل ديسمبر 2023، ظهرت Storm-1152 مرة أخرى بإطلاق موقع جديد يدعى RockCAPTCHA ومقاطع فيديو مساعدة جديدة لمساعدة عملائهم. كانت RockCAPTCHA تستهدف Microsoft من خلال عرض خدمات مصممة خصيصًا لمحاولة هزيمة إجراءات أمان CAPTCHA الخاصة بـ Arkose Labs. أتاح إجراء يوليو لـ Microsoft أن تتحكم في هذا الموقع وترسل ضربة أخرى للمثلين.

ألقت وحدة Arkose لبحث التحليل الذكي لمخاطر الإنترنت (ACTIR) نظرة عن قرب على كيف كانت Storm-1152 تحاول إعادة بناء خدماتها. لاحظوا أن المجموعة تستخدم أساليب أكثر تعقيدًا، بما في ذلك تكثيف استفادتهم من الذكاء الاصطناعي (AI)، لإخفاء نشاطهم وتفادي الكشف. ذلك الانبثاق يدل على التغيرات التي تحدث في مشهد التهديد ويظهر الإمكانات المتقدمة للمهاجمين المتمكنين من تقنيات الذكاء الاصطناعي. 

أحد المجالات الأساسية التي دمجتها Storm-1152 بالذكاء الاصطناعي هي تقنيات التهريب. رأت Arkose Labs المجموعة تستخدم الذكاء الاصطناعي لإنشاء توقيعات صناعية تشبه توقيعات البشر.

فيكاس شيتي هي رئيسة المنتج لـ Arkose Labs وتقود وحدة البحث في التهديدات، ACTIR. قالت شيتي «استخدام نماذج الذكاء الاصطناعي تسمح للمهاجمين بتدريب الأنظمة التي تصدر التوقيعات التي تشبه توقيعات البشر، والذي يمكن استخدامه في تغيير سعة الهجمات». «تعقيد وتنوع تلك التوقيعات يصعب الأمر على أساليب الكشف التقليدية للاستمرار».

إضافة إلى ذلك، لاحظت Arkose Labs محاولة Storm-1152 لتعيين مهندسين الذكاء الاصطناعي، بما في ذلك طلاب الماجيستير، والمرشحين لدرجة الدكتورة، وحتى الأساتذة في دول مثل فيتنام والصين.

«أولئك الأفراد يتم الدفع لهم لتطوير نماذج الذكاء الاصطناعي المتقدمة التي يمكن أن تتجاوز إجراءات الأمان المعقدة. قالت شيتي «خبرة مهندسون الذكاء الاصطناعي أولئك تضمن أن النماذج لن تكون فعالة فقط بل أيضًا متكيفة مع بروتوكولات الأمان المتطورة».

البقاء ثابتين هو المفتاح لتعطيل عمليات الإجرام الإلكتروني بشكل مجدي، كما هو الحال بالنسبة لمتابعة الطرق التي يعمل بها المجرمون الإلكترونيون والتقنيات الجديدة التي يستخدمونها.

قال فاريل «يجب أن نستمر في الثبات واتخاذ الإجراءات التي تجعل كسب المال أكثر صعوبة على المجرمين». «لذلك رفعنا دعوة قضائية ثانية لنتحكم في هذا المجال الجديد. نحتاج إلى أن نرسل رسالة أننا لن نتسامح مع أي نشاط يسعى إلى إيذاء عملائنا والأفراد عبر الإنترنت».

الدروس المستفادة وأثار المستقبل

أثناء التفكير في ناتج فحص Storm-1152 وتعطيلها، يلاحظ فاريل أن القضية مهمة ليس فقط بسبب تأثيرها علينا وعلى الشركات الأخرى المتضررة، لكن بسبب مجهود Microsoft لقياس تأثير تلك العمليات، لآن تلك العمليات جزء من النظام البنائي الكلي لارتكاب الجرائم الإلكترونية كموفر خدمة.

رسالة قوية للعامة

يقول فاريل «أدى إظهار أننا قادرين على تطبيق المقومات القانونية التي استخدمناها بشكل فعال على هجمات البرامج الضارة وعمليات الدولة القومية إلى تخفيف جذري ومعالجة لنشاط الممثل، الذي انخفض إلى ما يقارب الصفر لبعض الوقت بعد أن رفعنا الدعوة القضائية». «اعتقد أنه نتيجة لذلك نرى أنه يمكن أن يكون لديك ردع حقيقي ورسالة تسلط عليها العامة الضوء وتكون هامة - ليس فقط بسبب تأثيرها، بل للمصلحة العامة للمجتمع الظاهري».

خط الوصول الجديد في الهوية

من الملاحظات الأخرى الهامة هي التحول العام من ممثلين مخاطر يحاولون اختراق النقاط النهائية إلى محاولة الحصول على الهوية.  نرى أن أغلب هجمات الفدية الضارة التي تهدد الممثلين تستفيد من الهويات المسروقة أو المخترقة كخط الهجوم الأولي.
يقول ماسون «يظهر هذا الاتجاه كيف ستستبدل الهوية خط الوصول الأولى للأحداث القادمة». «قد يود مديرو أمان المعلومات اتخاذ موقف أكثر جدية بشأن الهوية عند وضع منظماتهم كنموذج - التركيز اكثر على ناحية الهوية، ثم ننتقل نقاط إلى النهاية».

الابتكار المستمر أمر أساسي

ظهور Storm-1152 مرة أخرى واستراتيجياته المستمدة من الذكاء الاصطناعي تؤكد على الطبيعة المتطورة للتهديدات الإلكترونية. استخدامهم المعقد للذكاء الاصطناعي للتهريب وحل التحديات يفرض تحديات كبيرة على إجراءات الأمان التقليدية. يجب أن تتكيف المنظمات عن طريق دمج تقنيات الكشف والتخفيف المحدثة التي تستند إلى الذكاء الاصطناعي للبقاء متقدمين بخطوة عن تلك التهديدات.
تقول شيتي «قضية Storm-1152 تميز الحاجة الهامة للابتكار المستمر في الآمان عبر الإنترنت للتصدي للأساليب المعقدة التي يستخدمها المهاجمين خبراء الذكاء الاصطناعي». «بينما تستمر تلك المجموعات في التطور، يجب أن تتطور الدفاعات المخصصة للحماية ضدهم».

نعلم أننا سنستمر في مواجهة تحديات أمنية جديدة في الأيام القادمة، لكننا متفائلون بشأن ما تعلمناه من ذلك الإجراء. كعضو في مجتمع المدافعين، نعلم أننا نعمل بشكل أفضل معًا في خدمة المصلحة العامة، وذلك سيجعل التعاون بين القطاع العام والخاص يستمر كمكون أساسي في مواجهة الجرائم الإلكترونية.

يقول فاريل «التعاون بين الفرق في هذا الإجراء - مزج جهود التحليل الذكي لمخاطر الإنترنت، وحماية الهوية، والفحص، والإسناد، والإجراء القانوني، والشراكات الخارجية - هو نموذج للطريقة التي يجب أن نعمل بها».

المقالات ذات الصلة

تعطيل خدمات بوابة الجرائم الإلكترونية

تتخذ Microsoft، بدعم من التحليل الذكي للمخاطر من Arkose Labs، إجراءات فنية وقانونية لتعطيل البائع الأول ومنشئ حسابات Microsoft الاحتيالية، وهي مجموعة نطلق عليها اسم Storm-1152. نراقب ونلاحظ وسنعمل على حماية عملائنا.

تعاون Microsoft وAmazon وجهات إنفاذ القانون الدولية لمكافحة الاحتيال في مجال الدعم الفني

شاهد كيف تضافرت جهود Microsoft وAmazon لأول مرة على الإطلاق لإزالة مراكز اتصال الدعم الفني غير القانونية في جميع أنحاء الهند.

مكافحة المتسللين داخل المستشفيات الذين عطلوا المستشفيات وعرضوا الأرواح للخطر

انتقل إلى ما وراء الكواليس في عملية مشتركة بين Microsoft وشركة تصنيع البرمجيات Fortra وHealth-ISAC لتعطيل خوادم Cobalt Strike المتصدعة وجعل عمل المجرمين الإلكترونيين أكثر صعوبة.

متابعة الأمان من Microsoft